用途：为 LinuxServer.io 的 SWAG 反向代理（主机 squirts，承载 *.tootie.tv 子域，现有约 128 条配置）新增反向代理条目。每个条目是 /mnt/appdata/swag/nginx/proxy-confs/<service>.subdomain.conf 一个文件，由单一规范 Jinja2 模板（mcp.subdomain.conf.j2）渲染，支持受 OAuth 保护的 /mcp、可选的 Authelia 门控 /，以及 MCP 流式语义。
主要能力与用法：优先调用 swag-mcp（MCP 服务器，注册于 ~/.claude.json，名 swag，URL https://swag.tootie.tv/mcp）。它暴露一个 action 路由工具 swag 及参考工具 swag_help，操作包括 list（过滤 all/active/samples）、create、view、edit、update、remove（自动备份）、logs（nginx-access/nginx-error/fail2ban）、backups（list/cleanup）、health_check。它会校验输入、渲染规范模板、以正确文件名写入、保留被替换配置的备份并提供健康检查。典型流程：先 list 查看现状避免重名，再 create，等待 SWAG 文件监听约 30 秒后 health_check（预期 200/302/401，401 为 Authelia 重定向属正常；502、404 Default backend、TLS 挂起为失败）。出错查 nginx-error 日志。字段包括 config_name、server_name、upstream_app、upstream_port、upstream_proto、auth_method（authelia/authentik/tinyauth/ldap/none）、mcp_upstream_、enable_quic。仅给服务名和端口时默认 server_name=<service>.tootie.tv、http、authelia、enable_quic=false，并令 mcp_upstream_ 等于 upstream_*，写前确认。
限制：仅适用于 tootie.tv 的 SWAG 配置；改动现有可用配置的认证用字段级 update 即可；新增上游服务本身不在范围内。swag-mcp 不可达时可手写文件回退（参考 lab 或 syslog 配置），不要手动 nginx -s reload 或重启容器，也不要重新引入 oauth.conf；备份由 swag-mcp 自动管理。